Eine der vielen Baustellen bei der Umsetzung der Datenschutz-Grundverordnung ist die Erfüllung der Informationspflichten. Der folgende Beitrag beschäftigt sich mit dem aktuellen Meinungsstand zur Zulässigkeit eines sog. Medienbruchs bei der Erfüllung der Informationspflichten.
Der Inhalt im Überblick
Erfüllung der Pflichten im Einzelfall teilweise schwer umsetzbar
Zur Erfüllung der Informationspflichten nach Art.12, 13 und 14 DSGVO muss der Verantwortliche dem Betroffenen eine Reihe von Informationen zur Verfügung stellen, damit dieser sich ein umfassendes Bild von der Datenverarbeitung machen kann.
Die Informationspflichten gelten unabhängig von der jeweiligen Art der Datenverarbeitung. Sie treffen den Verantwortlichen beispielsweise, wenn er Bewerber-, Beschäftigten-, oder Kundendaten erhebt, eine Videoüberwachung durchführt oder eine Einwilligung für eine bestimmte Datenverarbeitung einholen will.
Eine vollständige Erfüllung aller gesetzlich geforderten Informationen führt in der Regel zu mehrseitigen Informationsblättern, die dem Betroffenen zum Zeitpunkt der Erhebung zur Verfügung gestellt werden müssen. Findet die Datenerhebung im Internet statt, so ist eine Verlinkung auf eine Unterseite, die diese Informationen bereithält, meist unproblematisch. Was aber gilt, wenn in einer Arztpraxis personenbezogene Daten für eine Terminvereinbarung am Telefon erhoben werden oder wenn der Betroffene seine Daten auf einem kleinen Papiercoupon zur Anmeldung für ein Abonnement eintragen muss? In diesen Fällen gestaltet sich eine direkte und vollständige Erfüllung der Informationspflichten als besonders schwierig. Insbesondere für diese Fälle wird die Zulässigkeit eines sog. Medienbruchs diskutiert.
Was ist ein Medienbruch?
Unter dem Begriff „Medienbruch“ versteht man in diesem Zusammenhang, dass beispielsweise bei einer Erhebung von personenbezogenen Daten in einem Papierformular auch ein Verweis auf eine Webseite möglich ist, die detaillierte Informationen zu der konkreten Datenerhebung vorhält. Auf diese Weise lassen sich die Informationen „aufteilen“ und der Betroffene kann – je nach Bedarf – über ein anderes Medium die restlichen Informationen einholen. Ob ein solcher Medienbruch zulässig ist, ist auch kurz vor Inkraftreten der Datenschutz-Grundverordnung umstritten. Bei der Erfüllung der Pflichten besteht deshalb eine hohe Rechtsunsicherheit.
Argumente gegen die Zulässigkeit eines Medienbruchs
Gegen die Zulässigkeit eines Medienbruchs wird u.a. angeführt, dass der Gesetzgeber hierzu in der Verordnung gerade keine Aussage getroffen hat. Es würde zudem auch dem Gebot der leichten Zugänglichkeit nach Art. 12 Abs. 1 S.1 DSGVO widersprechen, wenn die Gesamtheit der Informationen nur mit verschiedenen Medien zugänglich wäre. Der Betroffene soll auf Basis der Informationen entscheiden können, ob er mit einer bestimmten Datenerhebung einverstanden ist. Reichen ihm aber die im Wege eines Medienbruchs zunächst bereitgestellten Informationen nicht aus, so kann ein Medienwechsel mitunter mit einer nicht unerheblichen zeitlichen Verzögerung verbunden sein.
Argumente für die Zulässigkeit eines Medienbruchs
Für die Zulässigkeit eines Medienbruchs kann angeführt werden, dass die leichte Zugänglichkeit heutzutage fast immer durch den Verweis auf eine Internetseite gegeben ist. „Leicht zugänglich“ ist nicht als „unmittelbar verfügbar“, sondern als „ohne Aufwand abrufbar“ zu verstehen. Auch in Erwägungsgrund 58 der Datenschutz-Grundverordnung wird auf die Bereitstellung in elektronischer Form explizit hingewiesen. Die Anforderungen in Art. 12 DSGVO an eine präzise, transparente, verständliche und leicht zugängliche Form der Informationen, lassen sich zudem auch als Argument für einen Medienbruch heranführen. Werden etwa einem Patienten am Telefon in einem 10-minütigen Monolog alle Informationen nach Art. 13 DSGVO vorgelesen bevor er einen Termin vereinbaren kann, dann könnte man sich durchaus fragen, ob die Zugänglichkeit und Verständlichkeit durch Bereitstellung der Informationen in Schriftform nicht besser gewahrt würde.
Position der Aufsichtsbehörden
Während sich die Behörden im Kurzpapier zu den Informationspflichten der Datenschutzkonferenz (DSK) vorsichtig gegen einen Medienbruch ausgesprochen hatten, gibt es nun verschiedene Äußerungen, die in eine andere Richtung deuten.
Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD) stellt in den Hinweisen zur Beschilderung bei einer Videoüberwachung durch nichtöffentliche Stellen eine gestufte Informationserteilung vor. Danach kann ein Teil der Informationen auf einem vorgelagerten Hinweisschild vorgehalten werden und die restlichen Informationen können an anderer Stelle (z.B. durch Aushang oder Auslage) erfolgen. Bemerkenswert ist allerdings, dass die Bereitstellung im Internet lediglich „ergänzend“ erfolgen sollte. Um ein klares Bekenntnis zum Medienbruch handelt es sich somit nicht.
Deutlicher wird das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) in einer Information zur Datenschutz-Grundverordnung für selbstständige Heilberufler. Die Informationen müssen nach Aufassung des ULD Patienten im zeitlichen Zusammenhang mit der Erhebung der Daten bereitgestellt werden. Dazu können Flyer oder Handzettel ausgegeben werden, auf denen die wichtigsten Informationen zusammengefasst werden und im Übrigen auf die Homepage der Praxis verwiesen wird, wo sich Einzelheiten finden lassen. Bei einer Terminvereinbarung müssen die Informationen nicht schon am Telefon vorgelesen werden, es genüge wenn sie auf der Homepage der Praxis leicht auffindbar seien. Ein Aushang allein sei hingegen nicht ausreichend.
Tätigkeitsbericht BayLDA 2018
Im aktuellen Tätigkeitsbericht zeigt das BayLDA Beispiele zur Erfüllung der Informationspflichten am Telefon, bei Karten-Zahlungen, Traueranzeigen, Gesprächsaufzeichnung in Callcentern und Ärzten per Medienbruch. Dabei stützt man sich bei den Ausführungen auf die Aussage des Europäische Datenschutzausschuss (EDSA) im „Working Paper 260“, wonach eine gestufte Information zulässig sei. Durch diesen Ansatz soll eine angemessene Balance zwischen den rechtlichen Vorgaben der Informationspflichten nach Art. 13 und 14 DSGVO einerseits und der Gefahr einer Informationsermüdung bzw. Informationsüberhäufung andererseits sichergestellt werden. Man weist anfragende Verantwortliche auch auf diese Möglichkeit der abgestuften Form mit Medienbruch hin.
Demnach ist festzuhalten, dass bei der Erfüllung der Informationspflichten ein Medienbruch in der Regel von den Datenschutz-Aufsichtsbehörden als zulässig angesehen wird.
Selbst bei Zulässigkeit eines Medienbruches. Wie soll über den Verweis auf die Datenschutzerklärung der Website ein ggf. erforderlicher Nachweis (insb. bei Telefongesprächen) erbracht werden können?
Auch hierzu findet sich ein Beispiel in den Ausführungen des ULDs: „Der oder die Verantwortliche muss die Erfüllung der Informationspflicht nachweisen können. Dazu ist es z.B. ausreichend, wenn den Patienten standardmäßig bei der Aufnahme der Zettel übergeben wird und dies für jeden Patienten im Praxissystem vermerkt wird. Es ist nicht erforderlich, dass die Patienten mit ihrer Unterschrift quittieren, dass sie die Informationen erhalten haben.“
Überträgt man diese Ansatz wäre es denkbar, dass beim Telefonat lediglich auf die DS-Erklärungen hingewiesen und dieser Vorgang vermerkt werden muss.
Eine nachvollziehbare Argumentation. Die Beweiskraft eines durch einen weisungsgebundenen Arbeitnehmer gesetzten Hakens ist meiner Ansicht nach zumindest fragwürdig.
Hinsichtlich des Kernthemas ihres Beitrags geht aus dem Kurzpapier 10 der DSK hervor
„Die leicht zugängliche Form bedeutet auch, dass die Informationen in der konkreten Situation verfügbar sein müssen. Sollen die Daten also von einer anwesenden Person erhoben werden, darf die Person in der Regel nicht auf Informationen im Internet verwiesen werden. Dies gilt gleichermaßen für eine schriftliche Korrespondenz auf dem Papierweg.“
Die Auslegung scheint hier relativ eng zu sein, da sogar die Zulässigkeit eines Medienbruches bei relativ ähnlicher Form der Wahrnehmung (hier das Lesen von Schriftzeichen) verneint wird.
Das ist zutreffend. Die Äußerungen der DSK deuten auf eine enge Auslegung hin, auch wenn dort einschränkend die Formulierung „in der Regel“ verwendet wird. Insofern überrascht das ULD mit seiner Stellungnahme.
Das ist doch mal eine pragmatische Auffassung, die dem Verhältnismäßigkeitsgrundsatz gerecht wird.
Hilfreiche Lektüre zum Medienbruch enthält im Übrigen auch die überarbeitete Version der WP29 zur Transparency (Seite 20) http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227. Kurz: Er ist möglich und hier gibt es auch noch Umsetzungsbeispiele.
ich komme aus dem Kofschütteln gar nicht mehr heraus
die die die Verordnung erlassen haben haben sich sicher keinen „Kopf“ darum gemacht wie sich das auswirkt
es liest sich ja auch so schön: jeder muss über die Erhebung und Speicherung seiner Daten informiert werden und dem zustimmen..
das Thema Arzt ist da schon mal ein Paradebeisspiel
eine alte Oma hat meist keinen PC.. sie will aber auch keinen Vortrag hören von Sachen die sie eh nicht versteht
auch einen seitenlangen Handzettel möchte sie nicht lesen ..sie möchte zum Arzt und geholfen bekommen
mehr nicht
und wer will das überhaupt kontrollieren
ich glaube nicht dass ein Patient seinen Arzt anzeigen würde
diese ganze Mehrarbeit werden wir demnächst alle an unserer Geldbörse merken
LG